| 事件 | 4624 成功登录 |
|---|---|
| 常用类型 | 2 本地、3 网络、5 服务、7 解锁、10 远程桌面 |
| 关键字段 | TargetUserName / LogonType / IpAddress |
| 高危组合 | Type 10 陌生公网 IP；Type 3 的管理账号 |
筛选远程与网络登录
筛选远程与网络登录
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddDays(-3)} -MaxEvents 300 | Where-Object { $_.Properties[8].Value -in 10,3 } | Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='Type';e={$_.Properties[8].Value}}, @{n='IP';e={$_.Properties[18].Value}} | Format-Table -AutoSize若来源显示 ::1 或 127.0.0.1，多半是本地或代理场景；结合 1149 通道与防火墙会话核对真实来源。